General Data Protection Regulation 歐盟個人資料保護規則 GDPR

合規GDPR免從零開始 掌握資料才能降低風險

2018-03-08
GDPR並不是對所有領域產業都會造成一樣大的衝擊,端視企業內部到底擁有多少歐盟公民的資料,才能進行判定,唯有了解在交易過程、服務或是產品銷售的過程中,有哪些環節會儲存或處理歐盟公民的個資,才能判斷與評估,並且妥善規畫減少其衝擊性。
即將實施的歐盟個人資料保護規則(General Data Protection Regulation,GDPR)業已進入緊鑼密鼓倒數階段,這項法規主要是針對隱私權、安全性和合規性設定了一套新的標準,用來取代已經實行20餘年的資料保護指令(Directive 95/46/EC)。由於GDPR定義的個人資料非常廣泛,不論是存放在客戶資料庫、客戶所填寫的意見反應表單、電子郵件內容、相片、監視錄影片段、消費集點記錄、人力資源資料庫等,只要資料涉及歐盟公民,即使並未儲存在歐盟境內,還是必須遵守GDPR,否則可能招致強勢執行的鉅額罰款。

相較於國內個資法只限於國內本島,GDPR的適用範圍,除了歐盟會員國之外,還包含了外國企業組織,受規範的範圍將更廣泛,台灣華睿泰科技(Veritas Technologies)技術顧問協理孫秀婷指出,「國內受到衝擊的產業包含了航空業、醫療產業,另外國際化企業若有聘僱歐盟公民,也會受到規範,而銀行與保險業若在歐洲設有據點提供開戶服務,更會受到影響。」

她提到,以往有許多企業對法規遵循並不是那麼看重,罰則過輕是其中一項原因,但GDPR不同,這項法規對違反資訊披露和保護個人資訊違規,實施更嚴厲的處罰,對於嚴重違法,例如個資處理之基本原則、個資傳輸予境外第三方等,罰款上限是2,000萬歐元或前一財務年度全球營業額的4%。」孫秀婷強調,並不是出事的分公司或區域組織營收的4%,而是全球營業額的4%,企業務必審慎看待。

從個資盤點開始

事實上,GDPR於2016年4月已正式成為歐盟的法律,延至2018年5月25日生效主要是為了讓涉及的企業有足夠充份的緩衝期,以便能有最佳因應舉措。IBM全球資訊科技服務部解決方案協理徐偉倫指出,GDPR並不是對所有領域產業都會造成一樣大的衝擊,端視企業內部到底擁有多少歐盟公民的資料,才能進行判定,唯有了解在交易過程、服務或是產品銷售的過程中,有哪些環節會儲存或處理歐盟公民的個資,才能判斷與評估,並且妥善規畫減少其衝擊性。

舉例而言,台灣ODM或OEM的代工業者轉型以自有品牌銷售產品,確實可能會處理到多樣個資,特別是附有感測器與智慧功能的產品,情況可能更為明顯。當企業為了提供使用者更好體驗,希望使用者自行登入個人資料,以便提供提早預警的資訊或是提供App,藉此收集使用者的習慣、興趣與年齡層等等資訊時,就會受到GDPR的規範。但反觀,若企業只是工具機出口到歐洲,甚至到歐洲之後還有代理商或經銷商,GDPR對這類型的企業衝擊並不大。


▲台灣華睿泰科技(Veritas Technologies)技術顧問協理孫秀婷指出,包含了航空業、醫療產業以及在歐洲設有據點的銀行與保險業等,都會受到GDPR影響。

在確認企業內部到底擁有多少歐盟公民的資料後,下一步則是從法規的層面探討GDPR對這些資料的規範為何?如何從流程或方法來進行改善?在法律層面之外,技術層面是否也需強化?例如資料需不需要加密保護、傳輸過程是否安全、資料外洩時有無通報機制,以及資料在企業內部處理時有無權限的控管等等,最後才是GDPR Ready,以確保符合法規要求。

他提到,歐洲對於隱私其實相當重視,早在多年前就有相關規範,在多數的情況下,合規GDPR並不需要從零開始。例如航空公司或銀行分行駐點在歐洲,當地的銀行經理單位或是當地的主管機關或多或少已有規範,因此,在面對GDPR時,企業還是要先評估對企業造成的影響,無須反應過度。

當然,最好的方法是不該收集的資料就不要收集,但若真的需要,就必須隱碼化(去識別化),或做好相關的措施,以降低風險。另外,GDPR要求,若是發生資料外洩,企業應該在72小時通報主管機關,如果事先不準備,等到施行後緊急要建立起這個機制,將會緩不濟急。

善用技術查找資料

隨著企業組識儲存的資料量愈來愈大,愈是掌握資料,就有可能保留過多個人資料,這也將提高企業風險。台灣華睿泰科技(Veritas Technologies)技術顧問協理孫秀婷認為,GDPR是一個複雜的要求,並不能單靠技術來解決,但是企業可以結合適當的技術解決方案擬定正確的業務流程。

舉例而言,掌握企業擁有的歐盟公民資料,是符合GDPR的第一步,企業有必要建立一個資料地圖,了解資料被誰存取、儲存了多久的時間等等訊息,這時就可以運用Veritas Information Map來取得相關的資訊。這項方案並不需要到企業環境中安裝任何的代理程式,透過分析備份的資料,就可以知道前端所有的資料分布情況,該資料是位於全球那一個資料中心內的那一台主機,在這個路徑中有哪些資料在裡面,甚至於儲存在雲端的資料,也可以一併納進來分析。


▲ IBM全球資訊科技服務部解決方案協理徐偉倫建議,如果企業為了因應GDPR而需要改變基礎架構,不妨考慮使用公有雲。因為公有雲業者為了要服務全球客戶,勢必要符合各國法規的規定,選擇GDPR Compliance Ready的公有雲服務供應商,可大幅降低風險。

運作原理主要是透過接收Veritas產品的Metadata,從中分析資料分布區域以及資料含量。目前Information Map已與NetBackup備份軟體進行整合,如此一來,從備份的Catalog就能分析各個資料中心的位置、資料含量,再往下可分析出資料類型以及不同類型的資料量,甚至包含檔案多久未被存取等訊息都一目瞭然。

另外,Data Insight也把大部分的法規都納入,只要把相關的法規打勾,Data Insight在掃描內容時,就會告知這個被保護的資料是跟那一個法規有關係,並且給予風險等級。

針對完全沒有頭緒,不知如何符規的企業,Veritas也有顧問團隊提供一套完整的GDPR諮詢服務。首先Veritas團隊會先與企業內部的關鍵部門或利益相關者進行會議討論,讓參與者對GDPR有一個全面的認識,並且進行簡單的技術評估。而後再對企業現況和準備進行綜合評估,包含藍圖規劃、資料分類,評估有那些資料具有隱私性,這個階段可能耗時8至9周。接著針對範圍給出產品施行建議,例如Data Insight、Enterprise Vault等以及制定GDPR的流程、政策並且提出報告,最後是優化數據資料,對結構與非結構化資料清理與識別。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!